Muse de Meta signe désormais en tant que muse.ai : qu’implique le changement d’identité d’un agent d’IA pour Web Bot Auth ?

En un week-end, Muse a déplacé ses signatures cryptographiques du répertoire de clés de Meta vers le sien. Ce changement minime dans un en-tête HTTP envoie un signal fort sur la façon dont les agents d’IA s’identifieront sur le web.

En bref

• Muse, le navigateur agentique de Meta, signe maintenant certaines de ses requêtes avec son propre répertoire de clés Web Bot Auth, muse.ai, au lieu de celui de Meta, meta.com.
• Le passage s’est fait progressivement : il a débuté vers minuit (heure du Pacifique) le samedi 7 novembre, a affiché une répartition d’environ 50/50 pendant un jour et demi, et s’est achevé le lundi 9 novembre.
• Le trafic signé de Muse est resté stable tout au long du changement.
• Si vous vérifiez les signatures Web Bot Auth et ne faites confiance qu’à meta.com, les requêtes de Muse apparaissent désormais comme non vérifiées.

Rappel : à quoi sert Web Bot Auth ?

Web Bot Auth permet à un client automatisé de prouver son identité. L’agent signe chaque requête HTTP avec une clé privée en utilisant les signatures de message HTTP (RFC 9421) et ajoute un en-tête Signature-Agent pointant vers un répertoire de clés publiques, hébergé à /.well-known/http-message-signatures-directory sur le domaine de l’opérateur de l’agent. Toute personne qui reçoit la requête peut récupérer les clés publiques et vérifier la signature.

Contrairement à une chaîne user-agent, que n’importe qui peut copier, une signature valide ne peut pas être falsifiée sans la clé privée de l’agent. Cela en fait l’un des moyens les plus fiables de distinguer un agent IA légitime d’un scraper prétendant en être un.

Muse signe désormais en tant que muse.ai, pas meta.com 

Jusqu’à la semaine dernière, Muse signait ses requêtes avec Signature-Agent: “https://www.meta.com”, le répertoire de clés d’entreprise de Meta. À partir du samedi 7 novembre, Muse a commencé à utiliser un répertoire de clés supplémentaire hébergé à https://muse.ai/.well-known/http-message-signatures-directory.

Dès le lundi 9 novembre, Meta a complètement basculé vers une signature exclusivement avec Signature-Agent: “https://muse.ai”. En d’autres termes, Muse a maintenant sa propre identité signée, distincte de celle de sa société mère. Cependant, toutes les requêtes de Muse ne sont pas signées avec Web Bot Auth, probablement en raison d’un déploiement progressif.

Pendant toute la transition, le trafic signé total de Muse est resté stable : le volume est simplement passé d’un signataire à l’autre. Cette période de chevauchement a laissé aux vérificateurs environ 60 heures pour repérer le nouveau répertoire avant que l’ancien ne devienne silencieux.

Pourquoi les identités signées par produit pourraient devenir la norme

Meta donne le ton. L’un des plus grands groupes technologiques exploite désormais son agent d’IA sous une identité signée propre au produit, et pas seulement sous son identité institutionnelle. À mesure que les entreprises lanceront plusieurs agents, une tendance pourrait émerger : une identité signée par produit, afin que les sites puissent distinguer un assistant, un crawler ou un agent d’achat, même lorsqu’ils proviennent de la même entreprise.

Aujourd’hui, Muse est le navigateur agentique le plus utilisé. Un changement dans la façon dont il signe atteint une grande part du trafic des agents IA que les sites reçoivent.

Part du trafic des navigateurs et extensions agentiques en octobre sur le réseau de DataDome

Les identités signées ne sont pas figées. Les répertoires de clés sont ajoutés, renouvelés et retirés. Un vérificateur qui s’appuie sur une liste fixe de domaines d’agents prendra du retard sans s’en rendre compte : ici, tout site qui ne faisait confiance qu’à meta.com a commencé à traiter les requêtes de Muse comme inconnues le 9 novembre.

Comment DataDome a géré cette transition

Nous avons suivi le changement sur l’ensemble de notre réseau et ajouté le nouveau répertoire de clés muse.ai à notre liste de bots et d’agents vérifiés via Web Bot Auth. Les requêtes vérifiées cryptographiquement alimentent notre modèle existant.

Au 10 novembre, la moitié des requêtes de Muse arrivent encore sans signature. Dans ce cas, il n’y a aucune signature à valider : l’agent doit être identifié grâce à des signaux côté client.

Vous voulez une visibilité et un contrôle complets sur le trafic de Muse qui arrive sur votre site ? Réservez une démo pour en savoir plus sur DataDome.